Compromisindicatoren: definitie en veelgestelde vragen

Een IOC is een bewijsstuk dat erop wijst dat een systeem mogelijk is gehackt of besmet: een bestandshash, een IP-adres, een domeinnaam, een URL, een bestandsnaam, een registersleutel of de naam van een geplande taak. Een treffer betekent onderzoeken. Hij bevestigt nooit op zichzelf een inbraak.

Het zijn de sporen die ransomware achterlaat op een systeem dat van jou is: tekstbestanden met een losgeldbrief die in veel mappen verschijnen, veel bestanden die in korte tijd een nieuwe extensie krijgen, en back-ups of schaduwkopieën die worden verwijderd. Behandel elk daarvan als urgent en volg je incidentresponsplan.

Vier gangbare bronnen: waarschuwingen en incidentrapporten, je eigen eerdere incidenten, formaten voor het delen van dreigingen zoals STIX en notities die in een tekstbestand zijn geplakt. De datum telt. Kies voor dreigingsjacht betrouwbare IOC-bronnen en controleer de datum van elk item, want adressen en domeinen raken snel verouderd.

Een IOC zegt dat een artefact is waargenomen, zoals een hash of een domein, terwijl een indicator of attack gedrag beschrijft, zoals een programma dat op een vreemd tijdstip start. Hashes veranderen bij elke herbouw. De Pyramid of Pain rangschikt indicatoren naar hoe moeilijk een aanvaller ze kan veranderen.

Ja, gocodesy.com is de officiële website van GoChannel Desk. Download de originele versie van deze site en vergelijk de SHA-256-controlesom met het gepubliceerde manifest voordat je haar start. Die stap overslaan is een fout. Vragen stel je via de knop Send feedback in de app.

Nee. Een zoekopdracht toont alleen wat in de logs en de lijst staat die je geeft, dus je moet elke treffer in context en elke diff lezen voordat je accepteert. Resultaten kunnen dingen missen. Een zoekopdracht zonder treffers bewijst nooit dat een systeem schoon is, en GoChannel Desk belooft geen volledige resultaten.

Ja, op logs en bestanden die van jou zijn of die je mag onderzoeken. Gebruik alleen kopieën. Je kunt een eerder incident of de logs van een lab-pc naspelen als een kleine casestudy in digitaal forensisch onderzoek, terwijl de agent zoekt en notities schrijft en jij de conclusies trekt.

Nee. Een specialist bepaalt wat een treffer betekent, bewaart bewijs en praat met je beveiligingsteam. GoChannel Desk voert alleen zoekopdrachten uit en schrijft conceptnotities die daarna een mens controleert. Het detecteert geen dreigingen in realtime en is geen feed met dreigingsinformatie.

Drie opties: een cloud-AI-aanbieder via een standaard API-eindpunt, een model op je eigen pc of het ingebouwde model. Logs bevatten persoonsgegevens zoals IP-adressen en gebruikersnamen, dus een lokaal model houdt ze op de machine, terwijl een cloudmodel ontvangt wat de agent verstuurt.

Ja, als je een cloudmodel kiest: de logregels die de agent in een prompt zet, gaan naar dat eindpunt. Bij een lokaal model verlaat niets de machine. Chats, werkmappen en API-sleutels blijven op de pc, en geheimen in de uitvoer van tools worden afgeschermd voordat ze het model bereiken. Er is geen telemetrie.

Twee stappen. Download het installatieprogramma van ongeveer 34 MB, voer certutil -hashfile erop uit en vergelijk de SHA-256-waarde met het gepubliceerde manifest. Er bestaat ook een portable losse .exe van ongeveer 25 MB. Windows SmartScreen kan waarschuwen omdat het installatieprogramma nog niet code-ondertekend is, ga dus pas door als de waarden kloppen.